Lei Carolina Dieckmann: o que diz, penas e atualizações

Lei Carolina Dieckmann é a Lei 12.737/2012, que incluiu o crime de invasão de dispositivo informático no art. 154-A do Código Penal (Decreto-Lei 2.848/1940). Na prática, ela permite responsabilizar quem acessa, altera, destrói ou obtém dados sem autorização do usuário do dispositivo.

A norma recebeu esse nome após o caso envolvendo a atriz Carolina Dieckmann, que teve arquivos pessoais acessados e divulgados sem consentimento. O episódio revelou uma lacuna penal: antes da lei, a invasão de computador nem sempre encontrava tipificação adequada quando não havia furto, dano material ou ameaça comprovada.

Este artigo explica o que a Lei Carolina Dieckmann prevê, quais condutas ela pune, como a Lei 14.155/2021 atualizou as penas e quais cuidados advogados devem adotar para comprovar crimes cibernéticos sem comprometer a validade da prova digital.

O que diz a Lei Carolina Dieckmann?

A Lei Carolina Dieckmann tipifica a invasão de dispositivo informático de uso alheio, conectado ou não à internet, quando o agente busca obter, adulterar ou destruir dados sem autorização, ou instalar vulnerabilidades para obter vantagem ilícita. O núcleo da proteção penal está no art. 154-A do Código Penal.

A redação original da Lei 12.737/2012 inseriu no Código Penal o crime de invasão de celulares, notebooks, tablets, servidores e outros equipamentos informáticos. A lei protege dados pessoais, arquivos corporativos, mensagens privadas, credenciais, documentos digitais e informações sensíveis armazenadas em dispositivos de terceiros.

Art. 154-A. Invadir dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita:

A Lei 14.155/2021 alterou essa redação e endureceu a punição. A atualização substituiu a expressão “dispositivo informático alheio” por “dispositivo informático de uso alheio”, o que ajuda a abranger situações em que o bem pertence a uma empresa, mas o uso legítimo pertence a uma pessoa ou equipe específica.

Por que surgiu a Lei Carolina Dieckmann?

A Lei Carolina Dieckmann surgiu para preencher uma lacuna penal sobre invasão digital, após a divulgação não autorizada de fotos íntimas da atriz em 2012. O caso acelerou a tramitação legislativa e mostrou que a proteção da intimidade exigia resposta específica para condutas praticadas por meios eletrônicos.

No episódio, criminosos acessaram arquivos privados e tentaram obter vantagem econômica antes da divulgação do conteúdo. A conduta envolvia invasão, exposição de intimidade e tentativa de extorsão, mas o ordenamento ainda não possuía tipo penal autônomo para o acesso indevido a dispositivo informático.

A lei não protege apenas pessoas famosas. Ela também alcança colaboradores, consumidores, gestores, escritórios de advocacia, empresas e órgãos públicos. Um invasor que acessa e-mails corporativos, copia contratos, instala programa malicioso ou extrai dados de clientes pode responder criminalmente, sem prejuízo de responsabilidade civil e administrativa.

Para que serve a Lei Carolina Dieckmann?

A Lei Carolina Dieckmann serve para punir a invasão de dispositivos informáticos e desestimular práticas como roubo de credenciais, instalação de malware, extração de dados e divulgação de informações privadas. Ela fortalece a segurança digital e complementa normas civis e regulatórias de proteção de dados.

Antes da Lei 12.737/2012, o acesso indevido a equipamentos privados podia ser tratado como ato preparatório ou enquadrado de forma indireta em outros crimes, conforme o resultado. Com a nova tipificação, o legislador passou a punir a invasão em si, desde que presentes os elementos do art. 154-A do Código Penal.

A lei também dialoga com a Lei Geral de Proteção de Dados, Lei 13.709/2018, e com o Marco Civil da Internet., Lei 12.965/2014. Enquanto a LGPD regula tratamento de dados pessoais e o Marco Civil disciplina direitos e deveres no uso da internet, a Lei Carolina Dieckmann trata da resposta penal à invasão.

Em empresas, a norma reforça a necessidade de controles de acesso, autenticação em múltiplos fatores, gestão de senhas, registro de logs e políticas internas. Quando ocorre incidente, esses elementos ajudam a demonstrar violação de mecanismo de segurança e a identificar usuários, horários, endereços IP e sistemas afetados.

Leituras relacionadas para aprofundamento:

• Vazamento de dados por instituições privadas ou públicas
• Direito digital: o que é, importância e áreas de atuação
• Direito de imagem: Tudo que os advogados precisam saber
• LGPD: o vazamento de dados no caso Klara Castanho

O que é considerado crime cibernético?

Crime cibernético é a infração penal praticada por meio de sistemas digitais ou contra sistemas digitais, como celulares, computadores, redes, servidores, contas online e bancos de dados. A classificação depende da conduta, do resultado e do tipo penal aplicável no Código Penal ou em legislação especial.

Há crimes em que a tecnologia é o meio, como fraude bancária por aplicativo, estelionato por mensagem falsa e ameaça por rede social. Há também crimes em que a tecnologia é o alvo, como invasão de dispositivo, interrupção de serviço informático e adulteração de dados armazenados.

A identificação do autor costuma exigir análise técnica. Investigadores podem cruzar logs de acesso, registros de conexão, metadados, dispositivos apreendidos, informações de provedores e elementos financeiros. O art. 15 do Marco Civil da Internet (Lei 12.965/2014) prevê guarda de registros de acesso a aplicações por provedores, nos termos legais.

A deep web e redes anônimas podem dificultar a investigação, mas não tornam a autoria impossível. Pagamentos, reutilização de e-mails, falhas operacionais, endereços IP, contas de recuperação e rastros em dispositivos frequentemente ajudam a reconstruir a cadeia de eventos.

Qual é a punição da Lei Carolina Dieckmann?

A punição da Lei Carolina Dieckmann, após a Lei 14.155/2021, é reclusão de 1 a 4 anos e multa para invasão de dispositivo informático de uso alheio. A pena aumenta quando há prejuízo econômico, obtenção de conteúdo sigiloso, divulgação dos dados ou vítima com função pública específica.

Na redação original, a pena era de detenção de 3 meses a 1 ano e multa. A Lei 14.155/2021 elevou a resposta penal e também modificou crimes patrimoniais praticados por meio eletrônico, como furto mediante fraude digital.

“Art. 154-A. Invadir dispositivo informático de uso alheio, conectado ou não à rede de computadores, com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do usuário do dispositivo ou de instalar vulnerabilidades para obter vantagem ilícita:

Pena – reclusão, de 1 (um) a 4 (quatro) anos, e multa.

§ 2º Aumenta-se a pena de 1/3 (um terço) a 2/3 (dois terços) se da invasão resulta prejuízo econômico.

Pena – reclusão, de 2 (dois) a 5 (cinco) anos, e multa.

Quando há prejuízo econômico?

Há prejuízo econômico quando a invasão causa perda financeira mensurável, como transferência indevida, contratação fraudulenta, paralisação de atividade, custo de recuperação de sistemas ou perda de oportunidade comercial. O art. 154-A, § 2º, do Código Penal determina aumento de 1/3 a 2/3 nesses casos.

Em uma empresa, o prejuízo pode envolver restauração de backups, contratação de perícia, indisponibilidade de plataforma, reemissão de credenciais e comunicação a titulares de dados. Na esfera civil, a vítima ainda pode buscar indenização por danos materiais e morais, conforme os arts. 186 e 927 do Código Civil (Lei 10.406/2002).

Quando a obtenção de conteúdo aumenta a pena?

A pena aumenta quando a invasão resulta na obtenção de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas definidas em lei ou controle remoto não autorizado do dispositivo. A Lei 14.155/2021 elevou a pena dessa hipótese para reclusão de 2 a 5 anos e multa.

Esse ponto interessa especialmente a departamentos jurídicos e escritórios de advocacia. Minutas contratuais, estratégias processuais, pareceres, dados financeiros, listas de clientes e documentos sob sigilo profissional podem integrar o conjunto de informações protegidas, além de acionar deveres éticos e contratuais de confidencialidade.

Como a divulgação de conteúdo privado impacta a pena?

A divulgação, comercialização ou transmissão a terceiro dos dados obtidos aumenta a pena de 1 a 2 terços, conforme o art. 154-A, § 4º, do Código Penal. A conduta agrava o dano porque amplia a exposição da vítima e pode tornar a reparação mais difícil.

Quando há imagem íntima, segredo empresarial ou conversa privada, a divulgação também pode gerar ações cíveis, pedidos de remoção de conteúdo, tutela de urgência e investigação de outros crimes. Em plataformas digitais, a rapidez na coleta da prova e na solicitação de preservação de registros influencia diretamente a efetividade da resposta.

Quais autoridades recebem proteção penal reforçada?

O art. 154-A, § 5º, do Código Penal aumenta a pena de um terço à metade quando o crime atinge autoridades como Presidente da República, governadores, prefeitos, presidentes de tribunais e casas legislativas, além de dirigentes máximos da administração direta e indireta.

A razão jurídica é proteger a segurança institucional e a continuidade administrativa. A invasão de dispositivos dessas autoridades pode expor informações estratégicas, comprometer serviços públicos e gerar riscos coletivos, além de afetar a intimidade individual da vítima.

Quais outros delitos aparecem nas atualizações da Lei Carolina Dieckmann?

As atualizações relacionadas à Lei Carolina Dieckmann também alcançam interrupção de serviço informático, falsificação de cartão e furto mediante fraude eletrônica. Esses tipos penais não se confundem com a invasão do art. 154-A, mas aparecem no mesmo movimento legislativo de repressão a crimes digitais.

Art. 266.. Interromper ou perturbar serviço telegráfico, radiotelegráfico ou telefônico, impedir ou dificultar-lhe o restabelecimento.

§ 1º Incorre na mesma pena quem interrompe serviço telemático ou de informação de utilidade pública, ou impede ou dificulta-lhe o restabelecimento.

§ 2º Aplicam-se as penas em dobro se o crime é cometido por ocasião de calamidade pública.

O art. 266 do Código Penal protege serviços de comunicação e informação de utilidade pública. Ataques que derrubam sistemas essenciais, impedem restabelecimento ou exploram contexto de calamidade podem gerar punição mais severa, além de responsabilidade por danos coletivos.

Falsificação de documento particular

Art. 298.. Falsificar, no todo ou em parte, documento particular ou alterar documento particular verdadeiro.

Falsificação de cartão

Parágrafo único. Para fins do disposto no caput, equipara-se a documento particular o cartão de crédito ou débito.

Quais condutas a Lei Carolina Dieckmann pune?

A Lei Carolina Dieckmann pune a invasão de dispositivo de uso alheio, a instalação de vulnerabilidades, a obtenção, adulteração ou destruição de dados sem autorização e a divulgação de informações obtidas pela invasão. A punição depende da finalidade ilícita e da violação indevida de mecanismo de segurança.

Exemplos práticos incluem acessar o celular de outra pessoa sem autorização para copiar fotos, usar senha vazada para entrar em e-mail corporativo, instalar programa espião em computador de trabalho, controlar remotamente um dispositivo e extrair dados de clientes para venda.

Nem todo acesso indevido será automaticamente enquadrado no art. 154-A. A acusação precisa demonstrar elementos como uso alheio do dispositivo, ausência de autorização, finalidade de obter, adulterar ou destruir dados, ou instalação de vulnerabilidade para vantagem ilícita. A perícia técnica costuma cumprir papel decisivo nessa análise.

Como advogados devem comprovar crimes cibernéticos?

Advogados devem comprovar crimes cibernéticos preservando a prova digital desde o primeiro contato, registrando origem, data, horário, plataforma, URL, metadados e cadeia de custódia. Prints isolados ajudam na triagem, mas documentos técnicos, ata notarial, logs e perícia aumentam a confiabilidade probatória.

O primeiro passo é orientar a vítima a não apagar mensagens, arquivos, e-mails, registros de acesso ou notificações. Em seguida, o advogado deve documentar o conteúdo com capturas completas, gravação de tela quando cabível, exportação de conversas e preservação do dispositivo original, evitando manipulação desnecessária.

A ata notarial, prevista no art. 384 do CPC (Lei 13.105/2015), permite que tabelião constate fatos em ambiente digital, como publicação, perfil, mensagem, imagem, data e endereço eletrônico. Ela não substitui perícia, mas confere maior robustez ao registro inicial do fato.

Quando a prova depende de terceiro, o advogado pode avaliar pedido judicial de preservação e fornecimento de registros, respeitando o Marco Civil da Internet (Lei 12.965/2014). Em matéria penal, a cadeia de custódia dos arts. 158-A a 158-F do CPP (Decreto-Lei 3.689/1941), incluída pela Lei 13.964/2019, orienta o tratamento de vestígios.

Um roteiro seguro inclui: identificar o incidente, preservar dispositivos, registrar evidências, lavrar ata notarial quando útil, comunicar a autoridade policial, avaliar medidas urgentes de remoção ou preservação, acionar perícia técnica e acompanhar pedidos a provedores dentro dos prazos legais aplicáveis.

Quais são os pontos críticos da Lei Carolina Dieckmann?

Os pontos críticos da Lei Carolina Dieckmann envolvem a velocidade da evolução tecnológica, a dificuldade de autoria, a definição de violação de mecanismo de segurança e a fronteira entre uso autorizado e uso abusivo. A lei melhorou a proteção penal, mas ainda exige interpretação técnica caso a caso.

Uma discussão recorrente envolve acessos por credenciais compartilhadas. Se um colaborador tinha senha legítima, mas a usa fora de sua função para copiar dados sigilosos, o enquadramento pode exigir análise conjunta de políticas internas, logs, contratos, dolo, finalidade e eventual crime concorrente.

Outro ponto sensível está na prova da invasão. Sistemas sem logs, senhas compartilhadas, ausência de autenticação multifator e falta de inventário de ativos dificultam a responsabilização. Por isso, prevenção jurídica e governança de segurança da informação reduzem riscos penais, civis e regulatórios.

Como a Lei 14.155/2021 atualizou a Lei Carolina Dieckmann?

A Lei 14.155/2021 atualizou a Lei Carolina Dieckmann ao aumentar penas do art. 154-A do Código Penal e criar regras mais severas para furto mediante fraude cometido por meio eletrônico ou informático. A atualização respondeu ao crescimento de fraudes digitais, golpes bancários e invasões com impacto econômico.

Pena – reclusão, de 1 (um) a 4 (quatro) anos, e multa.

§ 2º Aumenta-se a pena de 1/3 (um terço) a 2/3 (dois terços) se da invasão resulta prejuízo econômico.

Pena – reclusão, de 2 (dois) a 5 (cinco) anos, e multa.

A mesma lei incluiu os §§ 4º-B e 4º-C no art. 155 do Código Penal, tratando do furto qualificado por fraude eletrônica. Esse ponto alcança golpes em que criminosos utilizam aplicativos, links falsos, programas maliciosos ou outros meios digitais para subtrair valores.

§ 4º-B. A pena é de reclusão, de 4 (quatro) a 8 (oito) anos, e multa, se o furto mediante fraude é cometido por meio de dispositivo eletrônico ou informático, conectado ou não à rede de computadores, com ou sem a violação de mecanismo de segurança ou a utilização de programa malicioso, ou por qualquer outro meio fraudulento análogo.

§ 4º-C. A pena prevista no § 4º-B deste artigo, considerada a relevância do resultado gravoso:

I – aumenta-se de 1/3 (um terço) a 2/3 (dois terços), se o crime é praticado mediante a utilização de servidor mantido fora do território nacional;

II – aumenta-se de 1/3 (um terço) ao dobro, se o crime é praticado contra idoso ou vulnerável.

Como empresas podem reduzir riscos ligados à Lei Carolina Dieckmann?

Empresas reduzem riscos ligados à Lei Carolina Dieckmann com políticas de segurança, controle de acesso, treinamento, resposta a incidentes e documentação de evidências. A prevenção facilita a responsabilização de invasores e também demonstra diligência em investigações, auditorias e demandas envolvendo dados pessoais.

Medidas práticas incluem autenticação multifator, senhas individuais, bloqueio de contas inativas, segmentação de permissões, backups testados, criptografia, atualização de sistemas e monitoramento de acessos. O jurídico deve revisar contratos com fornecedores de tecnologia, cláusulas de confidencialidade e obrigações de notificação em incidentes.

Quando o incidente envolve dados pessoais, a empresa também deve avaliar obrigações da LGPD, como registro interno do evento, análise de risco aos titulares e eventual comunicação à Autoridade Nacional de Proteção de Dados e aos titulares, conforme art. 48 da Lei 13.709/2018.

Perguntas frequentes sobre Lei Carolina Dieckmann

Qual é a conclusão sobre a Lei Carolina Dieckmann?

A Lei Carolina Dieckmann marcou a resposta penal brasileira à invasão de dispositivos informáticos e permanece relevante para pessoas, empresas e profissionais do direito. Após a Lei 14.155/2021, o art. 154-A do Código Penal ganhou penas mais severas e maior utilidade prática em incidentes digitais.

Para advogados e gestores jurídicos, o desafio está em unir conhecimento penal, proteção de dados, segurança da informação e prova digital. Quanto melhor a preservação técnica dos vestígios, maior a chance de enquadrar corretamente a conduta, proteger a vítima e reduzir riscos em crimes cibernéticos.